【安全速报】10月9日高危漏洞紧急预警

探知安全
探知安全

探知安全

2026年10月9日 10:16
江西

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

【安全速报】10月9日高危漏洞紧急预警

2026年10月09日  |  探知安全

今日焦点

过去 72 小时是近几个月最密集的\"边界设备连环沦陷\"窗口——Fortinet FortiMail 零日任意文件写（CVE-2026-104286）在披露当天就进入 CISA KEV，一个未认证 HTTP 请求即可往邮件网关任意路径写文件；Cisco Catalyst SD-WAN Manager 认证绕过（CVE-2026-76504）把整个分支网络的控制权拱手让出，%6a 一个字符就绕过 SSO 门禁；Citrix NetScaler 则在 10 天内被第三个零日（CVE-2026-88779）击中 SAML 单点登录组件，上周刚打过补丁的设备这次还得再升一次。软件侧同样热闹：荷兰 DIVD 曝光开源工单系统 Zammad 被用来\"偷会话—执行代码—提权到 root\"的完整链，PoC 已于 10 月 7 日公开；Atlassian 一次性把 8 款 Data Center 产品全部拉下水（CVE-2026-21589）；AhsayCBS 备份管理控制台从 10 月 7 日起被批量打，攻击者顺手丢进 XMRig 挖矿木马。建议优先排查：公网暴露的 FortiMail、Cisco SD-WAN Manager、NetScaler，以及托管 Zammad/Jira/Confluence/AhsayCBS 的自建服务器。

漏洞详情

严重CVE-2026-104286CVSS 9.8

FortiMail 零日任意文件写：一个未认证请求就能往邮件网关写任意文件（CVSS 9.8·CISA KEV 10/1·零日披露当天入 KEV）

Fortinet FortiMail 邮件安全网关存在未认证任意文件写漏洞 CVE-2026-104286（CVSS 3.1 9.8，AV:N/AC:L/PR:N/UI:N），通告编号 FG-IR-26-175，于 10 月 1 日发布。攻击者只需向身份 Based Encryption（IBE）功能的请求处理端点发送一个 HTTP 请求，不需要会话令牌、不需要任何管理员凭据、不需要与设备有任何前置交互，即可把攻击者控制的文件写到设备文件系统的任意路径。这一次，CISA 在通告发布的同一天（10 月 1 日）就把漏洞收入 KEV，联邦机构的强制缓解窗口只有 3 天——这是\"披露即已被在野利用\"最清晰的信号，意味着真实利用早于官方通知的时间窗口未知。漏洞由 Fortinet 内部 PSIRT 发现并归功于研究者 Gwendal Guégniaud。Fortinet PSIRT 另在 10 月 5 日确认 7.2 分支没有自己的修复版本，必须迁移到 7.4 以上。

影响范围

FortiMail 7.2.0–7.2.9、7.4.0–7.4.8、7.6.0–7.6.6、8.0.0–8.0.1；修复版本为 8.0.2 / 7.6.7 / 7.4.9 及以上，7.2 分支无同分支修复

修复建议：立即升级至 8.0.2、7.6.7 或 7.4.9 以上，仍在 7.2 的组织必须规划迁移到 7.4 或更高分支；无法立刻升级时可用 CLI 执行 config system encryption ibe / set status disable / end 关闭 IBE 功能，或将管理接口限制到可信内网；补丁只解决后续写入，KEV 条目同时带有取证排查要求——升级前先留存设备日志与管理访问记录，重点核对管理接口上是否存在异常写入的新文件与非预期的 Web 服务进程。

严重CVE-2026-76504CVSS 9.8

Cisco Catalyst SD-WAN Manager 认证绕过：%6a 一个字符绕过认证，直接拿到管理员 API 权限（CVSS 9.8·CISA KEV 9/30·9 月已在野利用）

Cisco Catalyst SD-WAN Manager（原 vManage）存在 API 会话认证管理中的 URI 编码处理不当漏洞 CVE-2026-76504（CVSS v3.1 9.8，CWE-177），通告 cisco-sa-sdwan-webauth-xr8beuuU，9 月 30 日公开。原理并不复杂：认证规则对原始路径字符串做匹配判断，攻击者把 j_security_check 中的字符 j 百分号编码成 %6a（POST /%6a\_security\_check），规则匹配不到受保护路径模式而放行，应用服务器随后在路由阶段解码该字符，请求落回真实端点并以 admin 权限处理。Cisco 明确指出这是\"regardless of configuration\"——不依赖任何配置组合，无法用访问控制策略消除暴露面。Horizon3 的分析补充：该路径中的任意单个字符百分号编码都能绕过，只盯 %6a 的特征签名会漏掉全部变体。Cisco PSIRT 于 9 月在处理 TAC 工单时发现该漏洞正被在野利用，CISA 同日（9 月 30 日）收入 KEV，联邦截止 10 月 3 日。SD-WAN Manager 是整个分支网络的单一控制台，可读设备配置、向边缘路由器下发配置、修改安全策略，影响面覆盖最多 6000 台设备。

影响范围

全部受支持的 Catalyst SD-WAN Manager 版本：20.9 分支（< 20.9.10.1）、20.12（< 20.12.8.2）、20.15（< 20.15.6.1）、20.18（< 20.18.4.1）、26.1（< 26.1.2.1）、26.2；20.9 之前的版本无同分支修复路径，需升级到当前受支持版本。Cisco 托管的 SD-WAN Cloud 已在 20.15.605 修复，无需客户操作

修复建议：按分支升级至 20.9.10.1 / 20.12.8.2 / 20.15.6.1 / 20.18.4.1 / 26.1.2.1 / 26.2.1，Cisco 明确不提供 workaround；升级前把管理门户从公网撤出并置于防火墙或专用管理网段之后（注意：管理面防火墙只能缩短暴露窗口，不能替代升级）；立即检索 /var/log/nms/containers/service-proxy/serviceproxy-access.log 与 /var/log/nms/vmanage-server.log 中的 j_security_check、其 URL 编码变体、未知源 IP，以及 viptela-reserved- 开头用户的异常活动；执行 request admin-tech 生成技术支持包并开 Severity 3 TAC case 复核。这是 2026 年第 5 个被利用的 Cisco SD-WAN 零日，自 2021 年 11 月以来 CISA 已标记 90 个 Cisco 漏洞为在野利用。

高危CVE-2026-88779CVSS 8.7（官方 v4.0）

Citrix NetScaler SAML 组件内存溢出：同一个平台 10 天内第三个零日，上周打过补丁的还得再升一次（CVSS 8.7·CISA KEV 10/4·在野利用）

Citrix NetScaler ADC 与 NetScaler Gateway 存在内存溢出漏洞 CVE-2026-88779（CWE-119，Citrix 官方 CVSS v4.0 评分 8.7，向量 AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H），通告 CTX697174，10 月 3 日发布、10 月 4 日进 KEV。触发前提是设备被配置为 SAML 服务提供方（SP）或身份提供方（IdP），也就是企业单点登录的典型配置；满足条件时，未认证远程攻击者发送一个特制请求即可触发内存溢出导致拒绝服务，反复触发会让服务持续不可用。Citrix 官方立场是\"仅影响可用性、未发现数据完整性影响\"，但 Kevin Beaumont 的蜜罐在已修复上一轮漏洞的设备上被通过本漏洞攻陷，攻击者下载并执行了恶意二进制；另有管理员报告攻击者在种植 Web Shell、修改启动脚本、外传设备配置。本条最需要强调的细节：上一期（9 月 30 日）刚刚为修复 CVE-2026-88771/88772/CTX697096 而升级到的 14.1-73.37 / 13.1-64.23，仍然处于本漏洞的受影响范围内，必须再次升级到 73.41 / 64.28。

影响范围

NetScaler ADC / Gateway 14.1（< 14.1-73.41）、13.1（< 13.1-64.28）、ADC 14.1-FIPS（< 14.1-73.41 FIPS）、ADC 13.1-FIPS 与 13.1-NDcPP（< 13.1-37.282）；Secure Private Access Hybrid 部署中的 NetScaler 实例同样受影响。仅客户自管的 NetScaler 受影响，Citrix 托管的云服务已由 Citrix 升级

修复建议：升级至 14.1-73.41、13.1-64.28、14.1-73.41 FIPS 或 13.1-37.282 FIPS/NDcPP 及以上——即使上周刚为 CTX697096 打过补丁也必须再升一次；在所有 NetScaler 配置（含 FIPS、NDcPP、SPA Hybrid）中搜索 add authentication samlAction 与 add authentication samlIdPProfile 确认是否受影响；升级前在 NetScaler Console 启用 Virtual patching，通过 show appfw signatures 确认签名版本为 v24 及以上，用 stat denylist global AAA_REQUEST 查看命中情况，可用 Global Deny List 签名临时阻断攻击源 IP；日志侧排查 /saml/login 异常请求、/var/log/ns.log 中 SAML 处理与内存分配相关报错、/var/crash/ 下近期新增的崩溃转储，以及主进程下是否派生 shell 进程。

严重CVE-2026-102489 / 102490CVSS 9.4

Zammad 工单系统被\"偷会话—执行代码—提权 root\"三连击，PoC 已公开（CVSS 4.0 9.4（串联场景）·CISA KEV 10/2·真实入侵事件驱动）

开源工单系统 Zammad 的一对漏洞组合成了本周最完整的攻击链。CVE-2026-102489（CWE-384 会话固定）由 DIVD 作为 CNA 披露：Zammad 6.3.0 至 6.5.4 存在会话劫持漏洞，攻击者无需预先持有账号权限（PR:N），可劫持有效会话并以服务器上的 zammad 服务账号执行代码（涉及被动用户交互 UI:P）。Horizon3.ai 于 10 月 7 日公开了可用 PoC：向 Zammad 的 WebSocket 端点 /ws 发送一个畸形事件会触发 Ruby NoMethodError，错误回显中直接带出 @clients 注册表里在线客户端的 HTTP Cookie 与有效 _zammad_session；拿到管理员会话后可利用软件包安装功能写入恶意 ERB 模板覆盖密码重置邮件视图，触发渲染即实现任意命令执行。CVE-2026-102490 则是本地权限提升（zammad → root），影响 1.5.0 至 7.1.0-alpha。DIVD 在调查自身 9 月安全事件时确认二者被串联使用，从网络侧会话劫持到 root 提权在数秒内完成；CISA 于 10 月 2 日将两条一并收入 KEV，联邦截止 10 月 5 日。需要注意的是版本口径：DIVD 记录 7.0.0–7.1.3 代码同样存在该缺陷，但因框架变更无法实际利用；厂商采用更保守口径，认为真实可利用风险集中在 6.5 及更早的已停止支持版本。Zammad 常见于 MSP 与集成商环境，一旦失守，工单附件、客户联系方式、内部集成令牌都是攻击者的目标。

影响范围

Zammad 6.3.0 至 6.5.4（会话劫持 + RCE，厂商口径认为 6.5 及更早为真实可利用）；CVE-2026-102490 影响 1.5.0 至 7.1.0-alpha（本地提权）。7.2.0 含额外代码加固；低于 6.3.0 的版本状态标记为未知，且早已停止支持

修复建议：仍在 6.5 或更早版本的组织立即升级迁移到受支持的 Zammad 7 版本，优先 7.2.0 及以上（Zammad 10 月 5 日公告已确认 CVE-2026-102490 与 packager.io 的一项已确认漏洞有关，正在分析并制定方案），切勿仅凭版本区间把 6.5.4 当作安全版本；升级前备份数据库、附件、配置、日志与部署清单，升级后验证认证、邮件收发、工单流转、API、Webhook 与外部集成；无法立刻升级时将实例从公网下线或置于 VPN 之后、收紧容器与 SSH 入口、把 Zammad 与身份/邮件/数据库做网络分段；升级后必须开展失陷排查——异常会话与会话跨来源复用、zammad 服务账号下的异常进程与外联、管理员与集成账号的异常工单批量导出与权限变更、近期新增的 API 令牌与 OAuth 配置，并按失陷范围轮换凭据。

严重CVE-2026-21589CVSS 9.3（官方 v4.0）

Atlassian 一锅端 8 款产品：双冒号让路径遍历生效，Jira/Confluence/Crowd 明文凭据裸奔（CVSS 9.3·10/5 披露·PoC 已公开）

Atlassian 于 10 月 5 日发布安全通告，一款任意文件访问漏洞 CVE-2026-21589（CVSS v4.0 9.3，Atlassian 内部评估；NVD 标注 CWE-552）同时影响 Bitbucket Data Center、Confluence Data Center、Jira Service Management Data Center、Jira Software Data Center、Bamboo Data Center、Crowd Data Center、Crucible、Fisheye 八款产品的全部版本。未认证攻击者只要知道目标文件的准确路径，就能读取 Web 应用根目录内的任意文件。watchTowr Labs 在 10 月 6 日通过对比修复前后安装包给出技术分析：根因在 Web 资源处理层对双冒号序列（::）的处理——它在请求处理过程中被当作路径分隔符，从而让遍历片段到达资源加载代码；测试显示虽然无法穿越 Tomcat context 边界，但整个应用根目录内的文件都能读出。在 Jira 指向 Crowd 的部署中，读取 WEB-INF/classes/crowd.properties 可拿到明文应用凭据，攻击者据此创建用户并加入 jira-administrators 群，直接拿下整个 Atlassian 生态的管理权。Rapid7 表示文件读取 PoC 已公开，要求按紧急变更流程处理。Atlassian 云产品已修复且未发现被利用证据。

影响范围

上述 8 款产品的所有版本（含已停止支持版本）均在受影响范围内；修复版本分别为 Bitbucket DC 9.4.26 / 10.2.8 / 10.5.1、Confluence DC 9.2.26 / 10.2.19、Jira Service Management DC 5.12.40 / 10.3.26 / 11.3.12、Jira Software DC 9.12.40 / 10.3.26 / 11.3.12、Bamboo DC 10.2.24 / 12.1.12、Crowd DC 6.3.7 / 7.0.3 / 7.1.7 / 7.2.4、Crucible 4.9.15、Fisheye 4.9.15

修复建议：按产品线分别升级到对应修复 LTS 版本或最新版；无法立刻打补丁的实例先从公网撤出或严格限制外部访问；厂商给出三种临时缓解——全部产品可用 WAF/代理层规则阻断路径遍历模式，Confluence/JSM/Jira Software/Bamboo/Crowd 可在 Tomcat 启用 RewriteValve 并在 WEB-INF 部署 rewrite.config，Bitbucket 需在所有节点与镜像节点的 app/WEB-INF/urlrewrite.xml 顶部加阻断规则后重启（应用前备份实例）；排查时将访问日志逐行 URL 解码后检查 .. 是否紧邻 /、\ 或 ::，或用厂商提供的正则直接检索原始日志，确认失陷的实例需轮换暴露过的凭据与密钥并联系相关主管机构。

严重CVE-2026-105133 / 105134CVSS 9.8（厂商定级）

AhsayCBS 备份管理控制台被批量打穿：认证绕过链免认证 RCE，攻击者顺手埋下 XMRig 挖矿木马（CVSS 9.8·10/4 披露·10/7 起在野利用）

AhsayCBS（Ahsay 备份软件的管理控制台，主要部署在 MSP 与系统集成商处）存在两条配套漏洞：NVD 于 10 月 4 日收录的 CVE-2026-105133（影响 com/ahsay/obs/api/ApiStructsAction.java 的 checkSysPwd 函数，认证不当，中危）与 CVE-2026-105134（Replication Receiver 组件的 /rps/api/json/UpdateReceivers.do，存在认证绕过可导致以 NT AUTHORITY/SYSTEM 身份免认证远程执行代码，厂商定级 Critical）。Huntress 自 10 月 7 日 23:20:15 UTC 起在蜜罐中观测到真实利用，并发现攻击者把两条漏洞串联使用：先用 105133 绕过认证，再用 105134 执行代码；截至 10 月 8 日已观察到 5 家机构被同一批攻击者命中。攻击链特征清晰：利用后立即在应用目录下落地 JSP Web Shell；另有受害主机上 cbssvcX64.exe 派生出子进程，从 hxxp://imagefiles-backup.oss-ap-southeast-7.aliyuncs[.]com 拉取 Taskgmr.ps1、msedge.exe、edge.exe 与 config.json 到 %TEMP%，其中 msedge.exe/edge.exe 实为 XMRig Monero 挖矿程序的伪装；攻击者还投了一份疑似 AI 辅助生成的 PowerShell 脚本，会监控任务管理器、在深夜发现其打开就将其关闭。Huntress 特别补充：先前认为 10.3.4 不受影响，10 月 8 日复核后确认 10.3.4 同样受影响。

影响范围

AhsayCBS 截至 10.3.4 的全部版本（含 10.3.4）；厂商尚未发布补丁，Huntress 已将研究细节通报给 Ahsay

修复建议：补丁到位前收紧 AhsayCBS 管理接口的访问来源，仅允许可信网络访问，并优先检查 cbssvcX64.exe 的子进程派生记录；排查应用目录下的 JSP Web Shell、%TEMP% 与 ../AppData/Local/Temp 下的 Taskgmr.ps1、msedge.exe、edge.exe、config.json；检查是否存在名为 edge 的 XMRig 挖矿进程及到 oss-ap-southeast-7.aliyuncs[.]com 的异常外联；确认失陷的主机应从可信镜像重建，并按失陷范围轮换该控制台上管理的所有备份账户凭据——MSP 环境下的连带影响往往远超单台主机。

紧急提醒

本期最高优先级是 FortiMail CVE-2026-104286 与 Cisco SD-WAN Manager CVE-2026-76504 这对\"边界设备双杀\"：前者是一个未认证 HTTP 请求就能往邮件网关任意路径写文件，用来投 Web Shell 或改配置都是标准动作；后者用 %6a 这样一个字符就绕过了单点登录门禁，直接拿到整张 SD-WAN 网络的管理员 API 权限——从读配置到向边缘路由器下发策略都只需要一个请求。两者都在披露当天或次日进入 KEV，联邦窗口只有 2~3 天，实际在野利用早于公告。另外三条同样不可拖：Citrix NetScaler 一周内被第三个零日击中（打过上次补丁的设备必须再升一次，73.37/64.23 不够），Zammad 的会话劫持链已被完整利用且 PoC 公开（HELPDESK 系统里的客户数据与集成令牌是最直接的战利品），AhsayCBS 则是在 MSP 场景下同时丢 Web Shell 和挖矿木马——被攻破的不是一台备份机，而是能管成百上千台客户设备的管理员权限。请注意：KEV 条目附带的取证要求意味着补丁会覆盖现场，正确顺序是留存日志与内存转储 → 排查 IoC → 升级 → 重建与轮换凭据。建议排查顺序：公网 FortiMail → SD-WAN Manager 管理面 → 全部 NetScaler 实例（自查是否停在 73.37/64.23）→ 托管 Zammad / Atlassian 自建服务器 → AhsayCBS。

处置建议

① 邮件系统负责人立即确认 FortiMail 版本：7.2 分支无同分支修复，必须规划迁移到 7.4 以上；其余升级至 8.0.2 / 7.6.7 / 7.4.9+；无法立刻升级的用 config system encryption ibe / set status disable / end 关闭 IBE 或把管理接口限制到内网；升级前先导出管理访问日志与配置备份，核对管理接口上是否出现非预期新增文件与异常 Web 服务进程

② 网络团队盘点所有自建 Catalyst SD-WAN Manager 实例并按分支升级至 20.9.10.1 / 20.12.8.2 / 20.15.6.1 / 20.18.4.1 / 26.1.2.1 / 26.2.1（20.9 以前无同分支修复）；升级前把管理门户从公网撤出并置于防火墙/专用管理网段；立即在 serviceproxy-access.log 与 vmanage-server.log 中检索 j\_security\_check 及其 URL 编码变体、未知源 IP 与 viptela-reserved- 用户的异常活动，执行 request admin-tech 并开 Severity 3 TAC case 复核

③ NetScaler 管理员今天内再自查一遍版本号：任何停在 14.1-73.37 / 13.1-64.23 的设备必须升级到 14.1-73.41 / 13.1-64.28 / 14.1-73.41 FIPS / 13.1-37.282 FIPS|NDcPP；全量搜索 add authentication samlAction 与 add authentication samlIdPProfile 确认暴露面；补丁前在 Console 启用 Virtual patching 并用 show appfw signatures 确认签名 v24+、stat denylist global AAA\_REQUEST 看命中；日志侧检查 /saml/login 异常请求、/var/log/ns.log 的 SAML 处理报错、/var/crash/ 新增转储与主进程派生 shell

④ 使用 Zammad 的团队立即确认运行版本（不要只看镜像标签），6.5 及更早版本按厂商口径优先升级到 7.2.0 及以上；升级后必须做失陷排查：异常会话与会话跨来源复用、zammad 服务账号下的异常进程与外联、管理员/集成账号异常工单导出与权限变更、近期新增的 API 令牌与 OAuth 配置；被该实例连接的邮件、身份、数据库系统同步做关联排查，并按范围轮换凭据与注销全部活动会话

⑤ Atlassian 管理员按产品线分别升级（Bitbucket 9.4.26/10.2.8/10.5.1、Confluence 9.2.26/10.2.19、Jira Software 9.12.40/10.3.26/11.3.12、JSM 5.12.40/10.3.26/11.3.12、Bamboo 10.2.24/12.1.12、Crowd 6.3.7/7.0.3/7.1.7/7.2.4、Crucible 与 Fisheye 4.9.15）；无法立刻打的先下公网并部署 WAF/Tomcat RewriteValve/Bitbucket urlrewrite.xml 规则；日志逐行 URL 解码后检查 .. 是否紧邻 /、\ 或 ::，Crowd 部署重点确认 crowd.properties 是否已被读取并轮换其中的明文凭据

⑥ MSP 与集成商负责人立即收敛 AhsayCBS 管理接口的访问来源，排查 cbssvcX64.exe 子进程派生、应用目录下的 JSP Web Shell、%TEMP% 与 AppData/Local/Temp 下的 Taskgmr.ps1、msedge.exe、edge.exe、config.json，以及到 oss-ap-southeast-7.aliyuncs[.]com 的外联；补丁发布后第一时间升级（10.3.4 同样受影响）；同时提醒团队注意 AI 应用平台正在成为新的攻击面——Langflow 近期连曝多个 CVE，其中 CVE-2026-105697（MCP stdio 配置命令注入，GitLab Advisory 评 9.9）1.10.3 才完全修复，默认 LANGFLOW\_AUTO\_LOGIN=true 的实例无需凭据即可被利用，排查时一并核对是否把 AI 编排平台暴露在公网

觉得有用？点击右下角在看，让更多人看到